3. ESD系统功能与性能要求
ESD（Emergency Shutdown System，紧急停车系统）不是一套“按下按钮就全停”的简单开关，而是一套按风险等级分层动作、按时间指标约束响应、按可用性与可靠性指标约束失效行为的安全仪表系统。理解ESD的功能与性能要求，核心是回答四个问题：停到什么程度、多快停、多久能停一次、失效时是否安全。这四个问题分别对应停车分级、响应时间、可用性与可靠性、安全完整性等级（SIL）。
一、停车分级：按风险后果决定动作范围
停车分级（Shutdown Level）是ESD功能设计的起点。工艺装置中不同区域的危险程度、物料存量、反应剧烈程度不同，若一律全厂停车，会造成巨大经济损失和不必要的开工/停车风险；若只停局部，又可能无法切断危险源。因此工程上通常把停车分为若干级，典型为三级或四级：
- 单元级停车（Unit Shutdown，USD）：只停一个工艺单元或一台关键机组，影响范围最小，通常由该单元的联锁触发。
- 区域级停车（Area Shutdown，ASD）：停一个装置区或一个联合装置，切断该区域进出物料。
- 全厂级停车（Plant Shutdown，PSD）：全厂性紧急停车，切断所有危险物料来源，火炬、泄压系统进入最大负荷工况。
- 火灾/气体级停车（F&G Shutdown）：由火气系统触发，按火灾或可燃气体/有毒气体探测区域联动停车、消防和隔离。
分级的关键在于因果矩阵（Cause & Effect Matrix）：行是原因（如高高液位、高压、火焰探测），列是结果（如关进料阀、停泵、开泄压阀、启动消防泵），交叉点标明动作级别和延时。分级不是按“严重程度”主观排序，而是按风险分析结果确定，并保证高级别停车能覆盖低级别停车的安全功能。
二、响应时间：从探测到最终元件动作的总时间预算
ESD的响应时间不是单指PLC扫描周期，而是从传感器感知异常到最终元件达到安全位置的整条信号链时间总和。典型信号链为：传感器 → 输入模块 → 逻辑控制器 → 输出模块 → 最终元件（阀门、电机）。每一段都有时间消耗，必须逐段核算并留有余量。
总响应时间 T_total = T_sensor + T_input + T_logic + T_output + T_valve
示例预算（某高压联锁回路）：
T_sensor = 0.5 s （压力变送器响应）
T_input = 0.1 s （AI模块采样与滤波）
T_logic = 0.2 s （控制器扫描+表决）
T_output = 0.1 s （DO模块输出）
T_valve = 2.0 s （切断阀全行程关闭）
T_total = 2.9 s ≤ 工艺允许的3.0 s
响应时间指标必须与工艺安全分析（如HAZOP、LOPA）给出的允许时间一致。若工艺要求“3秒内切断”，而阀门本身关闭就需要4秒，则无论控制器多快都不满足要求，必须更换快关阀或增加独立保护层。常见误区是把“控制器扫描周期10ms”当作系统响应时间，忽略了传感器滤波、阀门行程和通信延时。
三、可用性、可靠性与安全完整性等级
可靠性（Reliability）关注“不出故障”的能力，通常用平均故障间隔时间MTBF衡量；可用性（Availability）关注“需要时能用”的概率，用A = MTBF/(MTBF+MTTR)衡量，其中MTTR为平均修复时间。ESD是长期处于“待命”状态的系统，其可用性直接决定装置能否连续运行，而可靠性则决定误停车和拒动作的概率。
安全完整性等级（SIL）是IEC 61508/61511对安全仪表功能（SIF）的量化要求，核心指标是要求时失效概率PFDavg和安全失效分数SFF。SIL等级越高，允许的失效概率越低，对冗余、诊断、表决和验证的要求越严。
| SIL等级 | PFDavg（低要求模式） | 风险降低因子RRF | 典型结构 |
|---|---|---|---|
| SIL 1 | 10⁻² ~ 10⁻¹ | 10 ~ 100 | 单通道，基本诊断 |
| SIL 2 | 10⁻³ ~ 10⁻² | 100 ~ 1000 | 1oo2或2oo3，中等诊断 |
| SIL 3 | 10⁻⁴ ~ 10⁻³ | 1000 ~ 10000 | 2oo3或双冗余，高诊断 |
| SIL 4 | 10⁻⁵ ~ 10⁻⁴ | 10000 ~ 100000 | 多重冗余，极高诊断 |
需要强调：SIL等级是针对每一个安全仪表功能评定的，不是针对整台ESD控制器。同一套ESD中，不同联锁回路可以有不同的SIL等级。SIL验证必须覆盖传感器、逻辑控制器和最终元件三部分，任何一段不达标，整个SIF就不达标。
四、综合案例与常见误区复盘
某炼化加氢装置的反应器高压联锁，工艺要求压力超过设定值后3秒内切断进料并打开泄压阀。设计采用SIL 3等级的ESD：压力变送器三重化（2oo3表决），控制器三重化冗余（TMR），切断阀为双电磁阀冗余并带部分行程测试。投用后一次真实超压工况中，系统在2.6秒内完成切断和泄压，未造成事故。但年度复盘发现两个问题：一是阀门部分行程测试周期为6个月，实际阀门卡涩风险高于假设值，导致PFDavg被低估；二是旁路（Bypass）管理不严，检修期间长期旁路未登记，使可用性数据失真。
- 把ESD当作DCS的一部分，用同一套控制器实现联锁，导致独立性不足。
- 只关注控制器SIL证书，忽略传感器和最终元件的SIL能力。
- 响应时间只算控制器扫描周期，忽略阀门行程和通信延时。
- 旁路、强制、维护 override 无审批、无时限、无记录，使安全功能形同虚设。
- 用MTBF代替PFDavg做SIL论证，混淆可靠性与安全完整性。
综上，ESD的功能与性能要求是一个相互约束的整体：停车分级决定“停什么”，响应时间决定“多快停”，可用性与可靠性决定“能不能长期可信地待命”，SIL则把上述要求量化为可验证的安全指标。只有四者协同设计、逐项验证，ESD才能真正成为装置的最后一道安全屏障。